W32/Solow (r4n694-24y)        25 April 2007

Awas, komputer anda di hack ayam

 

Binatang apa yang sangar dan akhir-akhir ini sangat sering dipakai namanya dalam dunia IT dan menurut peneliti memiliki hubungan erat dengan ayam ?? Jawabannya bukan burung elang ..... Brontok, bukan masih kalah sangar, burung Garuda Panca.... hus... itu sih lambang negara :P. Ternyata jawabannya bukan dari jenis unggas, melainkan jenis dinosaurus. Lhoooo, kok dinosaurus ?? Menurut penelitian terakhir merupakan nenek moyangnya ayam. Kalau mau ngadu keren, memang nenek moyangnya ayam ini yang paling sangar dan tidak ada matinya. Mengapa ? Karena di tengarai oleh peneliti bahwa nenek moyang ayam ternyata adalah T-Rex. Tidak percaya ?? Saya juga tidak percaya, tetapi ini jelas bukan HOAX dan memiliki dasar ilmiah yang kuat http://www.france24.com/france24Public/en/news/science/20070415-trex-chicken.html. Mungkin karena keren itulah yang membuat penulis virus (yang ditengarai awalnya menyebar meluas di Thailand namun akhir-akhir ini variannya banyak menyebar dalam pesan Bahasa Indonesia) menggunakan “motto” Hacked by Godzilla pada virus yang diciptakannya.

 

Jika anda membuka program “Internet Explorer” dan mendapatkan capion text bertuliskan “Hacked by Godzilla” <untuk varian awal> atau Hacked by Zay” <untuk varian terbaru> kemungkinan besar komputer anda terinfeksi virus Solow, begitulah Norman Virus Control memberikan nama untuk virus yang satu ini (lihat gambar 1 dan 2).

 

Gambar 1, Solow menambahkan caption text Internet Explorer dengan Hacked by GodZilla

 

Gambar 2, Norman mendeteksi virus Hacked by Godzilla sebagai W32/Solow

 

Virus ini sampai saat ini sudah menghasilkan banyak varian dan masing-masing varian mempunyai karakteristik yang sama walaupun ada sedikit perbedaan yang muncul dari aksi yang dilakukannya.

 

Solow ini sendiri dibuat dari program bahasa pemrograman umum VBScript dengan ukuran sebesar 4 KB <Untuk varian awal> dan 8 KB untuk varian terbaru, dan agar dapat menyebar secara otomatis ia akan membuat file Autorun.inf yang berisi skrip untuk menjalankan file induk dari virus tersebut.

 

JIka virus tersebut aktif ia akan membuat berapa file induk yang akan dijalankan setiap kali komputer dinyalakan diantaranya:

 

  • %Drive%:\MS32DLL.dll.vbs <untuk Solow varian awal> atau r4n694-24y.dll.vbs <untuk solow varian terbaru>

  • C:\MS32DLL.dll.vbs  atau C:\WINDOWS\r4n694-24y.dll.vbs

  • %Drive%:\Autorun.inf

 

Catatan:

%Drive% menunjukan Partisi Hard Disk termasuk Flash Disk

 

Solow akan membuat string pada registri berikut dengan tujuan agar dapat aktif secara otomatis setiap kali komputer dihidupkan.

 

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

§  r4n694-24y = C:\WINDOWS\r4n694-24y.dll.vbs

atau

§  ms32dll = C:\WINDOWS\MS32DLL.dll.vbs

 

Untuk Solow varian awal tidak sampai melakukan blok fungsi Windows sehingga lebih mudah untuk dibersihkan sedangkan untuk varian terakhir ia akan berusaha untuk melakukan blok terhadap beberapa fungsi Windows seperti :

 

§  Task manager

§  Msconfig

§  Regedit

§  Folder Option

§  CMD

 

Dengan membuat string pada registri berikut:

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

§  NoFind

§  NoFoldderOptions

§  NoRun

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced

§  Hidden

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

§  DisableRegistriTools

§  DisableTaskMgr

 

Anda tentu masih ingat dengan kasus Lightmoon, dimana jika anda menjalankan fungsi regedit/msconfig maka akan muncul program notepad dengan isi bahasa ASCII. Solow juga akan melakukan hal yang sama, selain regedit dan msconfig solow juga akan debugger program CMD/setup dan Install. Jadi setiap kali anda menjalankan program regedit/msconfig/cmd dan menjalankan file setup/install maka Solow akan mengarahkan untuk menjalankan program notepad dengan  isi bahasa ASCII. Untuk melakukan hal tersebut ia akan membuat string berikut:

 

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

            - debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe

            - debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe

            - debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe

            - debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe

            - debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe

            - debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

-       debugger = notepad

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

            - debugger = notepad

 

Selain itu Solow juga akan membuat string pada registri berikut:

·         HKEY_CLASSES_ROOT\VBSFile

§  DefaultIcon = shell32.dll,2

 

Solow juga akan meninggalkan jejak lainnya yakni dengan merubah nama pemilik Windows menjadi  r4n694-24y dan organisasi pemilik Windows menjadi  “Don't Panic, System anda sudah kami ambil alih !”. Untuk Solow varian awal tidak akan merubah registri “Owner” dan “Organization”. Untuk melakukan hal tersebut ia akan merubah string registri berikut :

 

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

§  RegisteredOrganization = Don't Panic, System anda sudah kami ambil alih !

§  RegisteredOwner = r4n694-24y (lihat gambar 3)

 

Gambar 3, Solow merubah nama organisasi dan pemilik Windows

 

Selain  merubah registered owner dan registered organization, Solow juga akan menambahkan caption text pada  program “Internet Explorer” dengan tulisan “Hacked by Gozilla” atau “Hacked by zay” <tergantung dari varian Solow yang mengifeksi> , untuk melakukan hal tersebut ia akan membuat string registri berikut:

 

·         HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title

§  Window Title = Hacked by Zay

Atau

§  Window Title = Hacked by Godzilla (lihat gambar 4)

 

Gambar 4, Solow Menambah caption Text Internet Explorer

 

Jika komputer anda sudah terinfeksi Solow maka anda tidak akan dapat membuka Drive pada komputer anda. Untuk melakukan hal tersebut Solow akan membuat string pada registri berikut :

 

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2de6727b-e43a-11db-9ad6-806d6172696f}\Shell\AutoRun\command

§  Default = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2de6727e-e43a-11db-9ad6-806d6172696f}\Shell\AutoRun\command

§  Default = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs

 

Aktif secara otomatis saat mencolokkan Flash Disk

Sebagai media penyebarannya, Solow masih menggunakan Disket/Flash Disk dengan membuat file Autorun.inf dan r4n694-24y.dll.vbs atau MS32DLL.dll.vbs . File Autorun.inf ini berisi script untuk menjalankan file r4n694-24y.dll.vbs atau MS32DLL.dll.vbs sehingga Solow akan aktif secara otomatis setiap kali user mencolokkan Disket/Flash Disk tanpa perlu menjalankan file tersebut.

 

Kedua file ini juga akan dibuat di setiap Drive yang ada dengan tujuan agar ia dapat aktif secara otomatis dengan hanya mengkases Drive tersebut.

 

Cara membersihkan Solow secara manual

·         Putuskan jhubungan komputer yang akan dibersihkan dari jaringan.

·         Matikan / Disable  “System Restore” untuk sementara selama proses pembersihan berlangsung <Jika menggunakan Windows ME/XP>.

·         Matikan proses virus yang aktif di memori. Untuk mematikan proses virus ini anda dapat menggunakan tools “proceexp” http://download.sysinternals.com/Files/ProcessExplorer.zip, kemudian matikan proses “wsscript” (lihat gambar 5)

 

Gambar 5, Mematikan proses “WSScript”

 

·         Hapus file induk dan autorun.inf di disetiap drive termasuk flash disk

§  %Drive%:\>MS32DLL.dll.vbs <untuk Solow varian awal> atau r4n694-24y.dll.vbs <untuk solow varian terbaru>

§  “C:\MS32DLL.dll.vbs”  atau “C:\WINDOWS\r4n694-24y.dll.vbs”

§  %Drive%:\>Autorun.inf

Catatan:

%Drive% menunjukan Partisi Hard Disk termasuk Flash Disk

 

Untuk mempermudah proses penhapusan anda dapat menggunakan tools Pocket Killbox http://www.bleepingcomputer.com/files/killbox.php kemudian hapus file tersebut diatas dengan menentukan lokasi  file tersebut berada. (lihat gambar 6)

 

Gambar 6, Menghapus file induk Solow

 

·         Hapus string registri yang dibuat oleh virus, untuk mempercepat proses penghapusan, salin skrip dibawah ini pada program notepad dan simpan dengan nama Repair.inf kemudian jalankan dengan cara:

 

§  Klik kanan Repair.inf

§  Klik Install

 

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

 

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

 

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOwner,0, "Owner"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOrganization,0, "Organization"

 

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistriTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NOFind

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NORun

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced, hidden

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, r4n694-24y

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, ms32dll

CKCR, VBSFile, DefaultIcon

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Msconfig.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

 

·         Untuk pembersihan optimal dan mencegah infeksi ulang gunakan Norman Virus Control dengan update terakhir yang dapat mendeteksi dan membasmi virus ini dengan baik.

·         Aktifkan kembali / enable “System Restore” <jika menggunakan Windows ME/XP>

 

 

Tips menghadapi autorun Flash Disk

Kebanyakan virus yang beredar akan membuat file Autorun.inf/Desktop.ini/Folder.htt disetiap Drive termasuk di Disket/Flash Disk dengan tujuan agar virus tersebut dapat aktif secara otomatis setiap kali user akses ke Drive tersebut.

 

Berikut tips yang dapat dilakukan agar skrip tersebut tidak akan dijalankan setiap kali user akses ke Drive tersebut yakni:

 

  • Klik  [Start]

  • Klik tombol [Run]

  • Pada dialog box “Run” ketik  “GPEDIT.SMC” kemudian tekan tombol “enter”

  • Pada layar “Group Policy” klik “Administrative  Templates” pada menu “User Configuration” (lihat gambar 7)

 

Gambar 7, Membuka Group Policy Windows

 

  • Kemudian klik “System”

  • Pada menu “system”  tersebut klik kanan “Turn off Autoplay”  kemudian pilih  “Properties”

  • Pada layar  “Turn off Autoplay properties” 

    • Klik tabulasi “Setting”

    • Pilih option “Enable”

    • Pada menu “Turn off Autoplay on”  pilih  “All Drives”

    • Klik Tombol “Apply”

    • Klik Tombol “OK” (lihat gambar 8)

 

Gambar 8, Mematikan Autorun Drive

  • Kemudian tutup layar “Group Policy”

 

Aj Tau

 

info@vaksin.com

 

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

Ph : 021 3456850

Fx : 021 3456851